Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

A NEAR AI confirmou um incidente grave: um atacante explorou uma falha de execução remota de código no SGLang e invadiu um de seus servidores de inferência. O ataque alcançou até requisições processadas em modo confidencial, revelando a fragilidade dos ambientes de execução confiável quando o software interno tem vulnerabilidades.

O invasor também acessou um sistema interno atrás do produto Private Chat, já descontinuado, e baixou nomes e e-mails de cerca de 100 usuários, além de dados de plano e saldo de algumas contas. Dezoito agentes de IA em uma implantação antiga foram comprometidos, com histórico de conversas, configurações e logs roubados, e duas chaves de API expostas em logs.

A empresa diz que revogou sessões e credenciais administrativas, trocou tokens, corrigiu a falha no SGLang e restaurou o acesso. A lição é dura: IA confidencial exige engenharia de segurança de verdade, não apenas o selo de um TEE.

Ataque RCE no SGLang atinge a NEAR AI: chats confidenciais, agentes e dados de usuários expostos

#ai #cybersecurity #rce #data-breach #cloud-security #near-ai #sglang

Ver detalhe →

Pesquisadores de segurança divulgaram uma vulnerabilidade de alta severidade no Treeio, um agregador de feeds de notícias baseado em Django. A falha, identificada como CVE-2026-124318, permite que usuários staff autenticados executem código Python arbitrário armazenando um payload pickle malicioso em campos editáveis pelo admin.

Com pontuação CVSS de 7,2 (e 8,6 no CVSS 4.0), essa falha de desserialização insegura é explorável remotamente e pode levar ao comprometimento total do servidor. As versões do Treeio até a 2.0 são afetadas.

Os usuários devem atualizar para a versão mais recente imediatamente. Como mitigação temporária, evite carregar dados pickle não verificados e sanitize todas as entradas antes da desserialização.

Vulnerabilidade crítica de RCE no Treeio: atualize agora para evitar execução remota de código

#cybersecurity #rce #vulnerability #patch #cve #treeio #django

Ver detalhe →

Uma vulnerabilidade crítica registrada como CVE-2026-17408 está abalando o IBM API Connect, o gateway que inúmeras empresas usam para expor suas APIs ao mundo. Com nota 9.8 de 10 na escala CVSS, a falha vem da neutralização inadequada de elementos especiais em um comando de sistema operacional, o que significa que entradas fornecidas pelo usuário podem chegar direto ao sistema e executar código arbitrário no host.

O ponto mais assustador é o vetor de ataque: remoto, de baixa complexidade e sem exigir privilégios ou interação do usuário. Um atacante não autenticado que alcance o endpoint vulnerável pode potencialmente assumir o servidor. As versões 10.0.8.0 até 10.0.8.12 e 12.1.0.0 até 12.1.1.2 do IBM API Connect estão afetadas, e a defesa real é aplicar o patch para uma versão corrigida e sanitizar toda entrada que chegue a um comando de sistema.

Se a sua operação depende de gateways de API, trate isso como emergência: audite a exposição, restrinja acessos de entrada e saída e proteja o plano de gerenciamento. Para equipes que precisam de uma camada extra de privacidade durante o atendimento remoto, uma solução de VPN reforçada como a ProtonVPN é uma adição prática ao kit de resposta a incidentes.

IBM API Connect tem falha de severidade 9.8 que permite executar código sem fazer login

#cybersecurity #rce #vulnerability #patching #ibm #zero-trust #api-connect

Ver detalhe →

Uma falha de severidade máxima no plugin Ultra Addons for Contact Form 7, registrada como CVE-2026-102435, chega com nota 9.8 e afeta todas as versões até a 3.5.54. O problema é uma cadeia de injeção de objetos PHP que não exige autenticação alguma, ou seja, qualquer pessoa na internet pode acionar o gatilho.

O caminho do ataque é agressivo: os criminosos exploram a validação insuficiente de caminho de arquivo dentro da função _getObjAttr para apagar arquivos arbitrários no servidor. Apagar o arquivo errado, como o wp-config.php, abre caminho para execução remota de código e transforma um bug de plugin em sequestro completo do site.

Existe um detalhe que reduz um pouco o alcance: o add-on PDF Generator precisa estar ativo e um formulário do Contact Form 7 deve estar configurado para gerar PDF. Se esse é o seu cenário, atualize o plugin imediatamente, desative o complemento se não usa e trate isso como emergência de segurança, não como tarefa de fim de semana.

Falha 9.8 em plugin WordPress permite que atacantes sem login apaguem arquivos e tomem conta de sites

#cybersecurity #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

$Esta semana na segurança cibernética foi um bombardeio de vulnerabilidades críticas. As falhas PHP2Shell (CVE-2026-109618 e CVE-2026-109619) permitem execução remota de código sem autenticação, e a Cloudflare detectou milhões de tentativas de exploração após a divulgação, levando alguns sites a ficarem offline por precaução. Enquanto isso, o Plex2Shell já está sendo explorado na natureza para entregar mineradores de criptomoedas, e a CISA adicionou todas as quatro falhas do Plex Media Server ao seu catálogo de vulnerabilidades exploradas conhecidas. Uma chave vazada desencadeou um ataque à cadeia de suprimentos na Railway, e o vazamento da chave master do LiteLLM completou o caos. De chaves privadas fracas na eMudhra a agentes de IA rebeldes seguindo instruções prejudiciais, os defensores estão sobrecarregados. A mensagem é clara: aplique patches agora, restrinja permissões e não confie cegamente em saídas de IA.$